高校校園網網絡存儲的安全分析

康 煒

福建江夏學院，福建 福州 350000

0 引言

隨著各高校網絡建設的迅速發(fā)展和信息化教學的普及，校園網存儲系統(tǒng)也是飛速發(fā)展。數字圖書館、校園一卡通、各種信息管理系統(tǒng)、視頻文件、教學課件等數字信息增加的非常迅速，用戶數越來越多，存儲系統(tǒng)在滿足教學工作需求的同時，數據安全性問題也必須得以解決網絡存儲系統(tǒng)經歷了直連存儲（DAS）、網絡附加存儲（NAS），以及現在的存儲區(qū)域網絡（SAN）的發(fā)展過程。NAS（Network Attached Storage：網絡附屬存儲）將存儲設備連接到基于IP的網絡中，有自己的操作系統(tǒng)，通過提高服務器安全性來增強存儲安全；存儲域網絡（Storage Area Network）采用專用網絡對數據進行存儲，具有很高的可擴展性。目前大部分的高校都是采用SAN與NAS相融合的存儲結構。

1 網絡存儲安全定義及特點

國際存儲工業(yè)協會SNIA對網絡存儲安全的基本定義是:保證數據在存儲網絡中的傳輸和存儲的機密性(Confidentiality)、完整性(In-tegrity)和可用性(Availability)。

1）機密性：用戶必須得到授權才能使用數據，非授權用戶無法訪問數據；

2）完整性：必須確保數據的正確性；

3）可用性：在使用安全措施對存儲系統(tǒng)進行保護的同時，不能影響對用戶的服務。

網絡存儲安全性包括網絡安全性和存儲安全性，其中網絡安全已經研究的很深入，協議及標準非常完備，各種防火墻等也在持續(xù)開發(fā)。后者的研究則起步不久，需要更加成熟的研究和解決方案。

2 高校網絡存儲系統(tǒng)面臨的安全問題

隨著存儲技術的迅速發(fā)展以及存儲結構的變化，校園網上越來越多使用大容量的存儲系統(tǒng)，由此也帶來了一系列安全問題：

1）高校人數眾多，人員復雜，存儲系統(tǒng)中的數據是校園網上最重要的資源，又由于其開放性和服務不間斷性，很容易成為攻擊對象，攻擊者竊取、篡改或破壞數據，就可能造成不可估量的損失；

2）在校園內網上，高校教師以及工作人員頻繁的使用移動硬盤，U盤等設備拷貝文件以及傳輸信息，很可能造成病毒的傳播，現在很多辦公室的電腦都帶有病毒和木馬。這些病毒和木馬不斷攻擊網絡存儲系統(tǒng)，很可能影響存儲系統(tǒng)的穩(wěn)定性，對用戶訪問數據造成不便；

3）存儲系統(tǒng)的硬件故障，會使存儲數據丟失或破壞，這通常是由于硬件的老化或者自然災害比如火災地震雷擊等引起的；

4）系統(tǒng)管理員的誤操作或內部人員的蓄意破壞也是存儲系統(tǒng)安全面臨的威脅之一。如何解決這些安全隱患，是目前校園網存儲系統(tǒng)建設面臨的巨大挑戰(zhàn)。

3 高校網絡存儲系統(tǒng)安全的解決方案

校園網存儲系統(tǒng)需要建立一套完善的，多方位的安全保護方案，現在主要是利用數據備份恢復、訪問控制、加密技術、入侵檢測等來提供安全保證。

3.1 數據備份和數據恢復

集中備份與恢復解決在校園網存儲安全解決方案中具有非常重要的地位。校園網上存儲了許多重要的信息，一旦丟失會給科研，教學以及各部門的正常運作造成巨大損失。備份是保護這些信息的最有效方式。針對目前大部分高校的存儲系統(tǒng)，常用的備份方式有LAN備份、LAN Free備份和SAN Server-Free備份幾種。各種結構的存儲系統(tǒng)都可以使用LAN備份，它采用中央備份服務器對LAN中各客戶端進行集中備份的方案，易于管理，效率較高，缺點是需要備份的數據量大時容易發(fā)生網絡堵塞；LAN Free備份和SAN Server-Free備份只能在SAN存儲環(huán)境下使用，這兩者通過SAN提供的高速光通道網絡進行備份，對服務器資源占用小，數據備份量大，但要求的設備成本高。各高校可以根據各自的校園網規(guī)模及實際情況選擇備份方式，做好容災備份，在數據丟失或破壞后可以迅速恢復。

3.2 訪問控制

在網絡環(huán)境中，訪問控制指的是控制某用戶可以或不可以訪問網絡、資源、文件等。為了有效地保證校園網重要資源的安全，必須控制授予每個網絡用戶的訪問級別，然后設置策略來保證只有合法用戶才能獲得資源的訪問權。訪問控制策略主要包括：強制訪問控制（MAC）、自主訪問控制（DAC）以及基于角色的訪問控制（RBAC）。

1）強制訪問控制：MAC是最嚴格的訪問控制，強制訪問主體服從訪問控制政策。由管理人員或管理程序控制對數據、系統(tǒng)、資源的訪問和修改權限。用戶的程序無法改變自己的權限，從而系統(tǒng)可以防止木馬的攻擊。強制訪問控制系統(tǒng)一般用于對安全要求高的網絡環(huán)境；

2）自主訪問控制：DAC不受管理員或操作系統(tǒng)策略的約束，它執(zhí)行基于系統(tǒng)實體身份和它們的到系統(tǒng)資源的接入授權。這包括在文件，文件夾和共享資源中設置許可。如果用戶創(chuàng)建了一個文件夾，則由此用戶來決定誰將擁有對此文件夾的訪問權；

3）基于角色的訪問控制：RBAC在用戶和訪問許可權之間引入角色的概念，訪問權是由用戶在組織中所代表的角色決定的，用戶與特定的一個或多個角色相聯系，角色與一個或多個訪問許可權相聯系，角色可以根據實際的工作需要生成或取消，而用戶可以根據自己的需要動態(tài)地激活自己擁有的角色，避免了用戶無意中危害系統(tǒng)安全。

3.3 數據加密

文件系統(tǒng)是網絡存儲系統(tǒng)的核心組件，由于共享的需求，敏感數據會有多人訪問，這也增大了泄漏的可能性，可以利用密鑰管理來加強文件系統(tǒng)的安全性，保證存儲安全。加密文件系統(tǒng)分為本地加密和網絡加密。本地加密文件系統(tǒng)是提供端到端的安全，在客戶端執(zhí)行加密操作防止數據被文件服務器和其他未授權用戶竊取或篡改。網絡加密文件系統(tǒng)，一般是基于NFS客戶/服務器模型，在系統(tǒng)中，數據以密文的方式保存在網絡文件系統(tǒng)中，獲得訪問權限的用戶通過客戶機服務進程與網絡文件服務器交互，網絡文件服務器負責將用戶請求的密文傳遞到客戶機服務進程，由客戶機服務進程進行解密再交給應用程序。在這個模型中，只要求客戶機操作系統(tǒng)是可信的，而網絡服務器由于不接觸明文數據，不要求其可信。

CFS，TCFS，Crypt-FS，FSFS等加密文件系統(tǒng)都可以用來加強文件系統(tǒng)安全，但這些文件加密系統(tǒng)也有局限性。例如CFS和TCFS使用了DES算法來加密文件內容，難于使用、共享加密文件非常困難、用戶無法選擇加密算法、交換區(qū)或臨時文件可能會泄漏明文以及性能較差等等，另外在存儲系統(tǒng)中保證存儲安全的密鑰數量巨大、管理復雜、對系統(tǒng)性能有較大的影響。

3.4 采用RAID數據存儲技術

RAID RAID：Redundant Array of Independent Disks，冗余磁盤陣列技術，是將N臺硬盤通過RAID Controller結合成虛擬單臺大容量的硬盤使用。磁盤陣列中針對不同的應用使用的不同技術，稱為RAID level，可根據需要劃分為不同的RAID級，RAID level 0-5，10，30，50 等。

使用RAID，可以同時讓多個硬盤進行數據的操作，提高了整體速度。RAID系統(tǒng)可以使用兩組硬盤同步完成鏡像存儲，大大加強了對于網絡服務器的安全措施。RAID容錯性也相當強，，冗余磁盤陣列中如果有單塊硬盤出錯，不會影響到整體工作的繼續(xù)進行。在實際應用中，可根據實際情況自由選擇。例如RAID 0是無差錯控制的帶區(qū)組，在所有的級別中，RAID 0的速度是最快的，但缺乏冗余功能。筆者所在學校采用RAID10磁盤做為用戶文件服務器，RAID 10是先鏡射再分區(qū)數據，將所有硬盤分為兩組，然后將這兩組各自視為RAID 1運作。RAID 10有著不錯的讀取速度，而且擁有比RAID 0更高的數據保護性，有效的提高了服務器的處理能力和數據的存取速度，同時保障了關鍵數據的安全性，結合千M的網絡接口速度，可以保證大量的網絡數據吞吐量。

3.5 反入侵技術

目前采用各種防火墻技術和入侵檢測技術來保證數據的機密性和完整性。

使用防火墻可以有效避免校園網網絡存儲系統(tǒng)免受外部入侵，但是卻無法防御網絡內部的攻擊，由于防火墻的缺陷，引發(fā)了近年來入侵檢測系統(tǒng)的研發(fā)。入侵檢測系統(tǒng)（Intrusion Detection System，簡稱IDS）是由硬件和軟件組成的，用來檢測系統(tǒng)或者網絡以發(fā)現可能的入侵或攻擊的系統(tǒng)。入侵檢測系統(tǒng)通過分析網絡數據流、主機日志、系統(tǒng)調用、以及能顯示對計算機網絡的攻擊行為的其他方面信息，來定位入侵活動。IDS處理過程分為數據采集階段、數據處理及過濾階段、入侵分析及檢測階段、報告以及響應階段等四個階段。數據采集階段是數據審核階段。入侵檢測系統(tǒng)收集內容包括系統(tǒng)、網絡、數據及用戶活動的狀態(tài)和行為。由放置在不同網段的傳感器或不同主機的代理來收集信息，包括系統(tǒng)和網絡日志文件、網絡流量、非正常的目錄和文件改變、非正常的程序執(zhí)行。分析及檢測入侵階段通過分析收集到的有關系統(tǒng)、網絡、數據及用戶活動的狀態(tài)和行為等信息來判斷是否發(fā)生入侵。根據系統(tǒng)是以檢測異常使用為目的還是以檢測利用系統(tǒng)的脆弱點或應用程序的BUG來進行入侵為目的，可以區(qū)分為異常行為和錯誤使用檢測。報告及響應階段按照告警產生預先定義的響應采取相應措施，可以是重新配置路由器或防火墻、終止進程、切斷連接、改變文件屬性，也可以只是簡單的告警檢測系統(tǒng)入侵檢測系統(tǒng)主要有以下特點：

1）事先警告：入侵檢測系統(tǒng)能夠在入侵攻擊對網絡系統(tǒng)造成危害前，及時檢測到入侵攻擊的發(fā)生，并進行報警；

2）事中防護：入侵攻擊發(fā)生時，入侵檢測系統(tǒng)可以通過與防火墻聯動、TCP Killer等方式進行報警及動態(tài)防護；

3）事后取證：被入侵攻擊后，入侵檢測系統(tǒng)可以提供詳細的攻擊信息，幫助管理員診斷網絡中存在的安全弱點，利于其進行修補。

4 結論

高校校園網的存儲安全建設包括了網絡安全和存儲安全的各個方面，是一個長期的過程，。在校園網這個特定的網絡環(huán)境下，一是要不斷應用新的安全技術，二是要加強安全管理，技術與管理相結合，綜合考慮安全機制和安全策略，才能保障網絡存儲系統(tǒng)的機密性、完整性和可用性。

[1]舒繼武.網絡存儲安全[J].中國教育網絡，2007(10)：64.

[2]趙俊杰，詹永照，蔡濤.網絡存儲安全系統(tǒng)研究綜述[J].計算機應用與軟件，2008，2.

[3]李文紅.網絡存儲安全技術研究[J].武漢理工大學學報：信息與管理工程版，2006，8.

[4]董龍.基于SAN的容災方案的研究與設計[D].西安電子科技大學，2006.